PT-2026-23488 · Gogs · Gogs

Odgrso · Publicado 2026-02-19 · Atualizado 2026-03-25 · CVE-2026-26276

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.5

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Gogs anteriores a 0.14.2

Descrição O Gogs, um serviço Git autohospedado, é afetado por uma vulnerabilidade de Cross-Site Scripting (XSS) baseado em DOM. Um atacante pode injetar um payload HTML/JavaScript no nome da Milestone de um repositório. Quando outro usuário seleciona esta Milestone na página de Nova Issue (/issues/new), o script malicioso é executado, podendo levar ao roubo de informações, extração de token CSRF e operações não autorizadas no repositório. O escopo do impacto depende do nível de permissão da vítima. O parâmetro vulnerável é o nome da Milestone.

Recomendações Atualize para a versão 0.14.2 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2026-06149

CVE-2026-26276

GHSA-VGJM-2CPF-4G7C

GO-2026-4627

SUSE-SU-2026:1042-1

Produtos afetados

Gogs

Referências · 140

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/26xxx/CVE-2026-26276.json · Exploit
• https://github.com/gogs/gogs · Nota
• https://github.com/gogs/gogs/commit/9001a68cdda7bd9c078ffd6d1c4622905ac11e5c · Nota
• https://github.com/gogs/gogs/releases/tag/v0.14.2 · Nota
• https://github.com/gogs/gogs/pull/8178 · Nota
• https://github.com/gogs/gogs/security/advisories/GHSA-vgjm-2cpf-4g7c · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-28789 · Nota
• https://suse.com/security/cve/CVE-2026-27896 · Nota
• https://suse.com/security/cve/CVE-2026-28280 · Nota
• https://suse.com/security/cve/CVE-2026-22728 · Nota
• https://suse.com/security/cve/CVE-2026-28790 · Nota
• https://suse.com/security/cve/CVE-2026-28279 · Nota
• https://suse.com/security/cve/CVE-2026-32319 · Nota
• https://suse.com/security/cve/CVE-2025-62879 · Nota
• https://suse.com/security/cve/CVE-2026-30224 · Nota